Etusivu: Kyberturvallisuuskeskus
Etusivu: Kyberturvallisuuskeskus
Valikko

Kriittisiä haavoittuvuuksia GitLabin Community Edition ja Enterprise Edition -tuotteissa

GitLab on julkaissut päivityksen Community Edition (CE) ja Enterprise Edition (EE) -tuotteiden kriittiseen haavoittuvuuteen. Korjaava versiopäivitys kannattaa asentaa mahdollisimman pikaisesti.

GitLab on julkaisi 12.1.2024 tiedon haavoittuvuudesta (CVE-2023-70285, CVSS 10), jonka avulla hyökkääjä voi saada käyttäjätilin salasanan palautussähköpostin vahvistamattomaan sähköpostiosoitteeseen.

Nyt (25.1.2024) GitLab:n julkaiseman haavoittuvuuden (CVE-2024-0402 CVSS 9.9) avulla kirjaantuneen käyttäjän on mahdollista kirjoittaa tiedostoja mielivaltaisiin paikkoihin GitLab-palvelimella työtilan luomisen yhteydessä. Tätä haavoittuvuutta on mahdollista hyödyntää myös haittaohjelmien levittämiseen.

Näiden haavoittuvuuksien ketjuttaminen mahdollistaa hyökkääjälle pääsyn ympäristöön ilman käyttäjätunnuksia, sekä erilaisten haittaohjelmien asentamisen kohdepalvelimelle.

Haavoittuvat ja päivitetyt versiot

12.1.2024 julkaistun CVE-2023-70285 haavoittuvuuden haavoittuvat versiot ovat:
16.1 ennen versiota 16.1.5
16.2 ennen versiota 16.2.8
16.3 ennen versiota 16.3.6
16.4 ennen versiota 16.4.4
16.5 ennen versiota 16.5.6
16.6 ennen versiota 16.6.4
16.7 ennen versiota 16.7.2

CVE-2023-70285 haavoittuvuus on jo GitLab-versioissa 16.1.6, 16.2.9, 16.3.7 ja 16.4.5 sekä 16.5.6, 16.6.4 ja 16.7.2.
Lisätietoja GitLabin tiedotteessa. (Ulkoinen linkki)

25.1 2024 haavoittuvuuden CVE-2024-0204 haavoittuvat tuoteversiot ovat 16.5.8, 16.6.6, 16.7.4 ja 16.8.1.

Korjaus CVE-2024-0402 haavoittuvuuteen on jo versioissa: 16.5.8, 16.6.6, 16.7.4 ja 16.8.1. GitLab versio 16.5.8 sisältää vain korjauksen tähän haavoittuvuuteen. Lisätietoja GitLabin tiedotteessa. (Ulkoinen linkki)

Haavoituvuuksien korjaavat päivitykset on saatavilla.
Suosittelemme päivittämään sovelluksen tuoreempaan versioon mahdollisimman pian.

Haavoittuvuus koskee organisaatioita, jotka käyttävät kyseistä tuotetta.

Kohde

  • Palvelimet ja palvelinsovellukset

Hyökkäystapa

  • Etäkäyttö
  • Ilman käyttäjän toimia
  • Ilman kirjautumista

Vaikutukset

  • Komentojen mielivaltainen suorittaminen
  • Suojauksen ohittaminen
  • Tietojen muokkaaminen
  • Luottamuksellisen tiedon hankkiminen

Hyväksikäyttömenetelmä tiedossa

  • Haavoittuvuuden havainnollistava esimerkkikoodi

Ratkaisu

  • Korjaava ohjelmistopäivitys

Haavoittuvat ohjelmistot

12.1.2024 julkaistun CVE-2023-70285 haavoittuvuuden haavoittuvat versiot ovat:
16.1 ennen versiota 16.1.5
16.2 ennen versiota 16.2.8
16.3 ennen versiota 16.3.6
16.4 ennen versiota 16.4.4
16.5 ennen versiota 16.5.6
16.6 ennen versiota 16.6.4
16.7 ennen versiota 16.7.2

CVE-2023-70285 haavoittuvuus on jo GitLab-versioissa 16.1.6, 16.2.9, 16.3.7 ja 16.4.5 sekä 16.5.6, 16.6.4 ja 16.7.2.

25.1 2024 haavoittuvuuden CVE-2024-0402 haavoittuvat tuoteversiot ovat 16.5.8, 16.6.6, 16.7.4 ja 16.8.1.

Korjaus CVE-2024-0402 haavoittuvuuteen on jo versioissa: 16.5.8, 16.6.6, 16.7.4 ja 16.8.1. GitLab versio 16.5.8 sisältää vain korjauksen tähän haavoittuvuuteen.

Ratkaisu- ja rajoitusmahdollisuudet

CVE-2023-7028:
Päivitys versioon 16.7.3, 16.6.5, 16.5.7 tai uudempaan

CVE-2024-0402:
Päivitys versioon 16.5.8, 16.6.6 ja 16.7.4.
Versiolle 16.8.1 on korjaus tähän haavoittuvuuteen saatavilla.

Lisätietoja